[發明專利]固定網絡接入IMS雙向認證及密鑰分發方法

有效

• 申請號: 200610162112.2
• 申請日: 2006-12-05
• 公開（公告）號: CN101197673A
• 公開（公告）日: 2008-06-11
• 發明（設計）人: 李剛;陳劍勇;熊曉春
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L9/32
• 分類號: H04L9/32;H04L9/08;H04L12/46
• 代理公司: 北京中博世達專利商標代理有限公司
• 代理人: 王晶

1.固定網絡接入IMS雙向認證及密鑰分發方法，包括如下步驟：

步驟A，用戶終端通過呼叫/會話控制功能向歸屬用戶服務器發起鑒權認證請求，并提供用戶標志；

步驟B，歸屬用戶服務器根據用戶標志，獲取與該用戶終端的共享密鑰Ku，生成一個隨機數Rand，由Rand，UE?ID和共享密鑰Ku等一起生成對用戶終端的驗證字XRES，同時生成UE和P-呼叫/會話控制功能之間的加密密鑰CK和完整性保護密鑰IK，其中CK，IK由共享密鑰Ku加密，最后將挑戰字Rand、加密后的密鑰(EKu(CK，IK))，用Ku進行完整性保護；

步驟C，歸屬用戶服務器返回認證請求的響應給呼叫/會話控制功能，將CK和IK傳給代理呼叫/會話控制功能，將驗證字XRES傳給服務呼叫/會話控制功能；呼叫/會話控制功能向UE返回注冊響應報文，回注冊失敗消息；

步驟D，用戶終端通過與歸屬用戶服務器共享的共享密鑰Ku，對返回的響應報文相應部分進行完整性驗證，實現對IMS網絡側的認證；

步驟E，認證通過后，用戶終端計算驗證字RES，重新向呼叫/會話控制功能發起注冊請求；

步驟F，呼叫/會話控制功能將用戶終端的驗證字RES與歸屬用戶服務器的驗證字XRES進行比較認證；

步驟G，認證通過后，呼叫/會話控制功能向用戶終端返回注冊響應成功報文，向歸屬用戶服務器發出用戶認證成功消息。

2.根據權利要求1所述的固定網絡接入IMS雙向認證及密鑰分發方法，其特征在于步驟A具體為：

步驟A1，用戶終端按協議流程向代理呼叫/會話控制功能發起注冊請求，正常的協議注冊報文，報文中攜帶用戶終端的用戶標志；

步驟A2，代理呼叫/會話控制功能向服務呼叫/會話控制功能轉發用戶的注冊報文；

步驟A3，服務呼叫/會話控制功能沒有該用戶終端UE的用戶鑒權信息，向歸屬用戶服務器發出對用戶的鑒權認證請求，提供用戶終端的用戶標志。

3.根據權利要求1所述的固定網絡接入IMS雙向認證及密鑰分發方法，其特征在于步驟C具體為：

步驟C1，歸屬用戶服務器將用Ku進行完整性保護的挑戰字Rand、加密后的密鑰(EKu(CK，IK))，和傳給代理呼叫/會話控制功能的CK和IK，傳給服務呼叫/會話控制功能的驗證字XRES，作為認證請求的響應返回給服務呼叫/會話控制功能；

步驟C2，服務呼叫/會話控制功能保留驗證字XRES，并向代理呼叫/會話控制功能返回注冊響應報文，回注冊失敗消息；

步驟C3，代理呼叫/會話控制功能保留注冊響應報文中的CK和IK，并向用戶終端返回注冊響應報文，回注冊失敗消息；響應報文中包括挑戰字Rand、加密后的密鑰(EKu(CK，IK))，并用Ku對上述報文進行完整性保護。

4.根據權利要求1所述的固定網絡接入IMS雙向認證及密鑰分發方法，其特征在于步驟D具體為：UE通過共享密鑰Ku對經過加密后的加密密鑰和完整性密鑰EKu(CK+IK)解密得到CK和IK，并用該共享密鑰Ku對代理呼叫/會話控制功能返回的報文相應部分進行完整性驗證，實現對IMS網絡側的認證。

5.根據權利要求1所述的固定網絡接入IMS雙向認證及密鑰分發方法，其特征在于步驟E具體為：如認證通過，則說明IMS網絡側設備是合法的，并用共享密鑰Ku、用戶標志及返回的挑戰字Rand重新計算UE驗證字RES，然后重新發起注冊請求，并通過CK對報文進行加密，用IK對報文進行完整性保護，報文中包括新計算得到的驗證字RES。

6.根據權利要求1所述的固定網絡接入IMS雙向認證及密鑰分發方法，其特征在于步驟F具體為：

步驟F1，代理呼叫/會話控制功能通過事先保留的完整性密鑰IK對報文進行完整性檢查，如果檢查通過，則通過事先保留的CK從報文解密出UE驗證字RES，然后向服務呼叫/會話控制功能發送用戶的注冊報文，包含用戶計算得到的驗證字RES；如果完整性檢查不通過，則要求UE重新發認證請求或直接退出流程；

步驟F2，服務呼叫/會話控制功能將代理呼叫/會話控制功能發過來的注冊報文中的驗證字RES和HSS發過來的驗證字XRES進行比較，對用戶終端UE進行驗證，若兩者不一致，則驗證失敗，則重發報文或退出注冊過程；若兩者一致，則表明對用戶終端UE的認證成功。